OpenSRE: Umgehung der Freigabeprüfung über Prompt Injection in shell_run

Zusammenfassung

OpenSRE, ein KI-Agent für den Site-Reliability-Betrieb, führt das Tool shell_run auf headless Oberflächen wie dem Slack-Gateway und bei geplanten Läufen ohne Bestätigung aus, weil die Methode execution_allowed() des Headless-Presenters immer True zurückgibt. Ein Angreifer, der Anweisungen in Alarme oder Slack-Nachrichten einschleusen kann, die der Agent auswertet, kann Befehle auf dem Host ausführen und LLM-, Slack- und Cloud-Zugangsdaten abziehen. Ein Login bei OpenSRE ist nicht nötig, und die Auswirkungen sind hoch, wenn der Agent umfassende Cloud- oder LLM-Zugangsdaten besitzt.

Betroffen

• Tracer-Cloud OpenSRE bis einschliesslich 0.1.2026.10.19
• Headless- bzw. nicht-interaktive Nutzung (Slack-Gateway, geplante Läufe, eingebettete Nutzung)

Behoben in

Unbekannt.

Umgehung

• requires_approval=True für shell_run und cli_exec setzen, wie von Lasso empfohlen
• Headless-Oberflächen so behandeln, dass shell_run ohne Bestätigung ausgeführt wird, und entsprechend einschränken
• Zugangsdaten und Netzwerkzugriff des Host-Kontos einschränken
• Einschränken, welche Alarmquellen und Slack-Kanäle den Agenten speisen dürfen

Ausnutzung

• Bekannte Ausnutzung in freier Wildbahn: keine Hinweise gefunden, nicht im CISA-KEV-Katalog
• Öffentlicher Proof of Concept: keiner gefunden; CISA SSVC führt die Ausnutzung als poc und die Automatisierbarkeit als yes auf
• Die CVE wurde am 20. Oktober 2026 veröffentlicht, der Status kann sich deshalb rasch ändern

Unsere Empfehlung

• Abklären, ob OpenSRE im Einsatz ist, und die installierte Version prüfen
• Freigabe für shell_run und cli_exec aktivieren und die Alarm- und Slack-Eingaben des Agenten einschränken
• Cloud- und LLM-Zugangsdaten des Agenten auf das notwendige Minimum beschränken
• Das GitHub-Advisory und VulnCheck auf eine korrigierte Version überwachen und GitHub-Issue #6373 zum verwandten Pfad execute_python_code prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record context: VulnCheck advisory www.vulncheck.com
• Lasso vulnerability database entry www.lasso.security
• OpenSRE dispatcher.py at the referenced commit github.com
• OpenSRE subprocess_presenter.py at the referenced commit github.com
• OSV entry via Vulners vulners.com
• VulDB CVE entry vuldb.com
• OpenSRE issue #6373 (execute_python_code) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:13.